AI w rekrutacji i ocenie pracowników - jakie obowiązki ma pracodawca

AI Act - Zakazane praktyki i systemy wysokiego ryzyka

AI w rekrutacji i ocenie pracowników - jakie obowiązki ma pracodawca

W skrócie

AI w rekrutacji bywa w firmie, zanim zarząd o niej zdecyduje: rekruter wkleja CV do czatu albo system rekrutacyjny dostaje moduł rankingu. Szef HR i inspektor ochrony danych muszą ustalić, co według AI Act wolno już dziś, co będzie wymagać procedur od 2 grudnia 2027 r. i kiedy pracodawca sam staje się dostawcą systemu.

Jak to wygląda w praktyce

W lubelskiej fabryce zatrudniającej 400 osób rekruterzy używają systemu rekrutacyjnego z modułem oceny dopasowania kandydatów, a część z nich przygotowuje krótkie listy w ChatGPT, wklejając CV i opis stanowiska. Platforma rozmów wideo dostała w aktualizacji moduł, który z mimiki ocenia nastrój kandydatów. Dyrektor sprzedaży chce narzędzia, które przydzieli handlowcom regiony według wyników i zachowania w systemie CRM. Związek zawodowy pyta zarząd, jakie systemy oceniają pracowników, a inspektor ochrony danych, kto podejmuje decyzję o odrzuceniu kandydata.

Co mówią przepisy

Załącznik III pkt 4 AI Act obejmuje dwie grupy systemów. Lit. a: systemy do rekrutacji lub wyboru osób, w szczególności do umieszczania ukierunkowanych ogłoszeń o pracę, analizowania i filtrowania podań o pracę oraz oceny kandydatów. Lit. b: systemy do decyzji wpływających na warunki stosunków pracy, awans lub rozwiązanie umowy, do przydzielania zadań według indywidualnego zachowania, cech osobowości lub charakteru oraz do monitorowania lub oceny wydajności i zachowania. To systemy wysokiego ryzyka (art. 6 ust. 2), a wyjątek z art. 6 ust. 3 nie działa, gdy system profiluje osoby.

Pracodawca, który używa takiego systemu, jest podmiotem stosującym. Od 2 grudnia 2027 r. (art. 113 lit. c) art. 26 każe mu m.in. używać systemu zgodnie z instrukcją (ust. 1), powierzyć nadzór osobom z kompetencjami, przeszkoleniem i uprawnieniami (ust. 2) oraz przechowywać logi, które kontroluje, co najmniej sześć miesięcy (ust. 6). Przed użyciem systemu w miejscu pracy pracodawca informuje przedstawicieli pracowników i pracowników, których to dotyczy (ust. 7), a o stosowaniu systemu informuje też osoby, wobec których wspiera on decyzje (ust. 11). Szczegóły opisujemy w poście o obowiązkach z art. 26 przy systemie wysokiego ryzyka. Osoba objęta decyzją podjętą na podstawie wyników systemu z załącznika III, która wywołuje wobec niej skutki prawne lub podobnie istotne, ma prawo do wyjaśnienia roli systemu (art. 86). Ocena skutków dla praw podstawowych (FRIA) z art. 27 obejmuje przy systemach HR tylko pracodawców będących podmiotami prawa publicznego albo podmiotami prywatnymi świadczącymi usługi publiczne.

Zobacz też: Szkolenie Gotowość na AI ACT

Już dziś obowiązuje zakaz wnioskowania o emocjach w miejscu pracy, poza względami medycznymi lub bezpieczeństwa (art. 5 ust. 1 lit. f). Komisja Europejska wyjaśnia w wytycznych w sprawie zakazanych praktyk (pkt 254), że obejmuje on rekrutację i okres próbny, co opisujemy w poście o analizie emocji pracowników i klientów.

Załącznik III opisuje zastosowania, więc czat ogólnego przeznaczenia, np. ChatGPT, nie jest w nim wymieniony. Art. 25 ust. 1 lit. c stanowi jednak, że kto zmienia przeznaczenie systemu AI, w tym ogólnego przeznaczenia, tak że staje się on systemem wysokiego ryzyka, przejmuje obowiązki dostawcy z art. 16. Kiedy samo użycie czatu do oceny CV jest taką zmianą, przepis wprost nie mówi, a projekt wytycznych Komisji Europejskiej do art. 6 zapowiada osobne wytyczne do art. 25. Obowiązki dostawcy przejmuje też ten, kto umieszcza swoją nazwę na systemie wysokiego ryzyka albo wprowadza w nim istotną zmianę (art. 25 ust. 1 lit. a i b).

RODO działa niezależnie od dat AI Act. Art. 22 daje prawo, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, o skutkach prawnych lub podobnie istotnych, z wyjątkami. Art. 35 ust. 3 lit. a wymaga DPIA przy systematycznej, kompleksowej ocenie czynników osobowych, która jest podstawą decyzji o skutkach prawnych lub podobnie istotnych. Od 2 grudnia 2027 r. podmiot stosujący korzysta przy DPIA z informacji od dostawcy z art. 13 (art. 26 ust. 9 AI Act).

Co zrobić krok po kroku

1. Spisz narzędzia HR. Szef HR z działem IT tworzy listę systemów i czatów AI używanych w rekrutacji, ocenie, awansach i przydziale zadań, z przypisaniem do załącznika III pkt 4 lit. a albo b. Lista trafia do rejestru systemów AI.
2. Wyłącz analizę emocji teraz. HR i administrator platformy wyłączają moduły oceniające emocje, „zaangażowanie” czy stres kandydatów i pracowników na podstawie obrazu lub głosu, a dostawca potwierdza to na piśmie.
3. Rozstrzygnij użycie czatów AI. Zarząd decyduje w polityce korzystania z AI, czy rekruterzy mogą używać czatu ogólnego przeznaczenia do selekcji kandydatów. Jeśli nie, polityka to wyklucza. Jeśli tak, dział prawny ocenia, czy firma nie zmienia przeznaczenia systemu w rozumieniu art. 25 ust. 1 lit. c, i zapisuje wynik.
4. Zapewnij człowieka w decyzji i DPIA. HR przeprowadza DPIA dla systemów oceniających kandydatów i pracowników w konsultacji z inspektorem ochrony danych i opisuje, kto podejmuje decyzję i na jakiej podstawie, tak by nie opierała się wyłącznie na zautomatyzowanym przetwarzaniu. Styk obu przepisów opisujemy w poście o danych osobowych w narzędziach AI.
5. Przygotuj informację dla przedstawicieli pracowników. Przed wdrożeniem systemu oceny pracowników HR przygotowuje pismo do przedstawicieli pracowników i do pracowników, których system dotyczy. Art. 26 ust. 7 wymaga go od 2 grudnia 2027 r., ale warto przekazać je już przy obecnym wdrożeniu.
6. Dopisz informację dla kandydatów. Od 2 grudnia 2027 r. klauzula w ogłoszeniu lub formularzu mówi, że w procesie działa system AI wysokiego ryzyka, do jakiego celu i jakie decyzje wspiera (art. 26 ust. 11, motyw 93), oraz informuje o prawie do wyjaśnienia (art. 86).
7. Do 2 grudnia 2027 r. wdroż procedury z art. 26. HR wyznacza osoby nadzorujące system i szkoli je z instrukcji obsługi, IT ustala przechowywanie logów przez co najmniej sześć miesięcy, a zakupy wpisują do umowy z dostawcą dostęp do instrukcji i logów.

Jak sprawdzić, że sprawa jest załatwiona

Już dziś potrzebne są cztery dowody: rejestr systemów AI z każdym narzędziem HR i punktem załącznika III, potwierdzenie dostawcy o wyłączeniu modułów analizy emocji, polityka korzystania z AI rozstrzygająca użycie czatów w rekrutacji i zatwierdzona DPIA dla systemów oceniających. Przed 2 grudnia 2027 r. dołóż pismo do przedstawicieli pracowników z datą doręczenia, klauzulę dla kandydatów, listę osób nadzorujących z potwierdzeniem przeszkolenia i konfigurację logów. Kandydat albo pracownik może złożyć skargę do KRiBSI (Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji), a kontrola jest co do zasady zdalna, więc dokumenty trzymaj w formie elektronicznej.

Podstawa prawna i źródła

• art. 5 ust. 1 lit. f, art. 6, art. 25 ust. 1, art. 26, art. 86 i załącznik III pkt 4 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• art. 27 ust. 1, art. 113 lit. c oraz motywy 57 i 93 AI Act
• art. 22 i art. 35 RODO, rozporządzenie (UE) 2016/679 (źródło)
• Wytyczne Komisji w sprawie zakazanych praktyk w zakresie sztucznej inteligencji, C(2025) 5052 final, pkt 254 (źródło)
• Projekt wytycznych Komisji w sprawie klasyfikacji systemów AI wysokiego ryzyka z 19 maja 2026 r. (projekt, pkt 14 i zapowiedź wytycznych do art. 25) (źródło)
• art. 49 i 59 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (kontrola i skargi) (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001